Logística, portos, aeroportos e transporte, Ago/2026

Ameaças e campanhas ativas

Ransomware e extorsão com impacto desigual

O grupo de casos com ransomware ou extorsão como eixo principal foi amplo, mas a qualidade operacional variou bastante. Só um caso teve criptografia de ativos confirmada, ICN. Houve ainda dois episódios alinhados com exfiltração sem criptografia, Uber Freight e LATAM Pass, nos quais o material descreve acesso não autorizado e vazamento ou consulta indevida de dados. Três casos ficaram apenas em menção em leak site, Oldelval, Integraduanas e Flecha Bus, sem confirmação oficial do impacto total. Nove casos não permitiram determinar com precisão o mecanismo com a evidência disponível.

Essa distinção importa porque muda a defesa. Quando há criptografia confirmada, a prioridade é recuperação, segmentação, backup e preservação forense. Quando predomina a exfiltração, a agenda se desloca para notificação, fraude, proteção de clientes e controle de identidade. E quando há só menção em leak site, a equipe deve tratar o caso como sinal de risco, não como encerramento do incidente. O mês mostrou as três formas convivendo no mesmo setor.

Oldelval foi o melhor exemplo de menção com continuidade preservada. Integraduanas e Flecha Bus ficaram em reclamações de terceiros sem confirmação oficial no material revisado. Metaencryptor e The Gentlemen aparecem ainda como nomes recorrentes em diferentes fontes, o que sugere um ecossistema RaaS ou de extorsão oportunista, e não uma campanha única e homogênea. A prudência analítica é obrigatória, porque nem todo nome em um leak site equivale ao mesmo nível de impacto.

Fraude e phishing

O mês registrou um único fato documentado de fraude ou phishing, mas com peso potencial alto pelo tipo de dado exposto. O caso de LATAM Pass permite uma leitura de fraude muito clara, embora não tenha sido descrito como campanha de phishing em sentido estrito. A combinação de nomes, e-mails, telefones, endereços, número de sócio e saldo de milhas é material útil para suplantação e ataques de engenharia social dirigidos a clientes com alta probabilidade de resposta.

Em transporte e companhias aéreas, a fronteira entre breach e fraude é cruzada rápido. Os dados de fidelização servem para redefinir senhas, simular notificações de viagem, pedir validações falsas ou tentar resgate fraudulento de pontos. Por isso, a notificação aos clientes e a comunicação com a ANPD fazem parte do controle do dano. Em nível regional, o dado mais relevante não é haver um único caso de fraude, mas o fato de o material documentado mostrar uma base de dados suficiente para que esse fraude cresça depois.

APT e hacktivismo

O material do mês não mostrou uma campanha APT regional consolidada sobre logística, portos, aeroportos ou transporte latino-americano. Houve, sim, uma referência a Lazarus associada à exploração de um zero-day de Windows em campanhas contra defesa e aeroespacial em vários países, entre eles Brasil, por meio de falsas ofertas de emprego. Esse fato não se traduziu em um incidente direto sobre o vertical deste relatório, mas deixa uma sinalização de targeting em ambientes próximos de infraestrutura sensível.

O único caso que tangencia uma lógica de ativismo ou ação de demonstração é o de Córdoba, onde um pesquisador realizou testes e revelou falhas críticas, mas o material o enquadra como hackeamento ético e reporte ao CERT.ar, não como intrusão hostil. Convém distinguir isso bem de uma campanha de hacktivismo. Para o mês analisado, não há base suficiente para descrever uma operação APT ou hacktivista sobre o vertical com fatos verificados na região.

Vulnerabilidades críticas

O material analisado registrou um único CVE crítico, CVE-2026-68820, associado a uma campanha atribuída ao Lazarus contra os setores de defesa e aeroespacial em vários países, entre eles o Brasil. Não houve outros CVEs críticos na evidência do mês. Isso não significa ausência de vulnerabilidades críticas exploradas na região, apenas que elas não apareceram no corpus revisado para este relatório.

O dado não deve ser lido como melhora estrutural da superfície. Ele sugere, antes, que agosto foi mais marcado por incidentes concretos do que pela divulgação de novas falhas críticas. Em um mês em que o foco se deslocou para brechas, ransomware e respostas regulatórias, a visibilidade de CVEs caiu. O risco técnico continua presente, mas não foi a principal forma de sinal documentada neste período.

Regulação e conformidade

A regulação ganhou espaço central em agosto porque vários casos obrigaram a notificar, escalar ou revisar contratos. A Oldelval precisou informar o incidente à CNV sob o regime de fato relevante, e a People of Internet destacou que esse foi o marco jurídico que tornou a divulgação pública. Na prática, isso equivale a dizer que a transparência surgiu por obrigação de mercado, e não por uma norma setorial específica de cibersegurança crítica.

A LATAM adotou uma lógica diferente, mas também regulatória. A empresa reportou o incidente à ANPD no Brasil e notificou clientes potencialmente afetados. Esse tipo de resposta marca a diferença entre um problema operacional interno e uma exposição que aciona a supervisão de dados pessoais. Para companhias aéreas e programas de fidelidade, a coordenação entre segurança, privacidade e atendimento ao cliente deixa de ser opcional.

Em Córdoba, a prefeitura anunciou uma auditoria interna sobre a empresa fornecedora do sistema de transporte e a revisão de contratos tecnológicos. Isso é muito relevante para administrações públicas e concessionárias de mobilidade, porque o incidente não se limita à camada técnica. Quando há terceiros com acesso a dados sensíveis e controle remoto, a resposta contratual e de supervisão pesa tanto quanto a correção de vulnerabilidades.

A leitura regulatória do mês é que a América Latina continua recorrendo a marcos dispersos para obrigar a revelação de incidentes. Mercado de capitais, proteção de dados e auditorias administrativas surgiram como veículos de transparência. No material revisado, não houve sinal equivalente de coordenação regional setorial para portos, aeroportos ou transporte terrestre.

Países e subsegmentos mais afetados

Argentina

A Argentina concentrou parte relevante da sinalização pela combinação de Oldelval, Córdoba, os aeroportos e as menções a Flecha Bus e Integraduanas. O padrão não foi uniforme. Em petróleo e logística de energia, a Oldelval preservou a continuidade física. No transporte urbano, Córdoba mostrou uma exposição técnica muito mais profunda, com acesso a bases de dados, credenciais e possível controle de equipamentos. Em aeroportos, o dano ficou concentrado em dados de clientes e em serviços de estacionamento e reservas.

A leitura por país é que a Argentina exibiu tanto infraestrutura crítica quanto serviços satélite vulneráveis. Também ficou evidente a diferença entre tomar conhecimento pela imprensa, como disse a prefeitura de Córdoba, e gerir um incidente por canais formais. O subsegmento mais exposto não foi um único vertical, e sim a camada de integração tecnológica entre mobilidade, atendimento ao cliente e operação.

Brasil

O Brasil foi o outro foco principal do mês, com LATAM Pass, ICN e a referência ao Lazarus. O caso da companhia aérea se conectou a dados pessoais e ao cumprimento perante a ANPD. Já a ICN representou um incidente de ransomware com criptografia confirmada sobre TI e possível preservação por backups. Entre os dois casos, aparece um país com exposição simultânea em transporte aéreo, indústria naval e ambiente corporativo de dados.

O que chama atenção no Brasil é a coexistência de falhas de privacidade e ransomware operacional. Não se trata apenas de roubo de informação, mas de como repositórios, backups e canais de notificação são protegidos. O fato de a ICN ter conseguido preservar dados graças a cópias de segurança é útil, mas não deve ocultar que houve criptografia de arquivos em um ambiente sensível.

México

O México aparece com menor volume, mas com sinal de extorsão sobre a Integraduanas, empresa de logística, cadeia de suprimentos e armazenagem dedicada ao comércio exterior. A peça disponível não confirmou o incidente por uma fonte oficial, mas deixa uma reclamação pública do Qilin e um alerta sobre possível publicação de dados. Para um operador de comércio exterior, esse tipo de menção basta para acionar monitoramento de credenciais, troca documental e exposição de clientes.

Subsegmentos de maior exposição

Os subsegmentos mais atingidos foram transporte urbano, aeroportos, logística de terceiros, portos e energia de transporte. Cada um mostrou uma forma distinta de dano. Córdoba exibiu controle potencial sobre ativos móveis. Os aeroportos argentinos e o LATAM Pass evidenciaram exposição de dados pessoais. Oldelval e North Carolina Ports mostraram continuidade degradada, mas não interrompida. Uber Freight e os reclamos sobre Flecha Bus e Integraduanas sugerem que a logística terceirizada segue sendo uma superfície muito atraente para extorsão e vazamento.

Tendências e sinais a monitorar

A comparação com o mês anterior é direta. Em agosto, o número de fatos verificados saltou de 23 para 67, com avanço forte nos incidentes não tipificados, de 3 para 27, e nos movimentos regulatórios, de 0 para 10. A mudança da ameaça predominante, de vulnerabilidades para incidentes, mostra que o corpus do mês se concentrou muito mais em eventos já materializados do que em exposição teórica. Isso exige que as equipes regionais priorizem detecção, contenção e notificação, não apenas a gestão de patches.

O segundo movimento é a diversificação. No mês anterior, havia apenas três setores com ao menos um fato documentado; em agosto, foram sete. Essa expansão importa porque reduz a chance de tratar o problema como se atingisse só uma subindústria. Quando coincidem aeroportos, portos, transporte urbano, petróleo, companhias aéreas e logística digital, a leitura correta é sistêmica.

O terceiro sinal é que o mês trouxe mais casos de incidente administrativo do que de queda operacional total. Isso pode parecer uma boa notícia relativa, mas seria enganoso. A intrusão em TI, contas, portais, reservas e e-mail é suficiente para gerar fraude, atrasos e custos de recuperação. Continuidade física não é sinônimo de resiliência completa.

O último sinal é regulatório. Sem movimentos formais, muitos incidentes teriam permanecido invisíveis ou restritos à imprensa de tecnologia. O fato de 10 eventos terem resultado em comunicação, auditoria ou notificação mostra que a pressão por transparência está aumentando. Para a segurança regional, isso obriga a preparar melhor a saída do incidente tanto quanto a resposta técnica.

Recomendações para equipes de segurança

Primeiro, separar com mais rigor os domínios de negócio e de operação. O mês mostrou várias vezes que o dano entra por sistemas satélite, não pelo núcleo físico. Aeroportos, portos e transporte urbano deveriam revisar de imediato a segmentação entre reservas, parking, fidelização, e-mail, TOS, OCR, recarga de cartões e sistemas de controle. Se um fornecedor administra esses ambientes, o contrato precisa exigir telemetria, prazos de notificação e testes de recuperação.

Segundo, tratar a exfiltração como ameaça de primeira linha, mesmo sem criptografia. LATAM Pass e Uber Freight mostram que o acesso a dados pode ser tão danoso quanto o ransomware. Isso implica reforçar DLP, monitoramento de acessos incomuns, alertas para downloads em massa, controle de contas administrativas e revisão de repositórios de e-mail e nuvem. Em fidelização e logística documental, o dado roubado serve para fraude posterior.

Terceiro, testar a restauração de backups, e não apenas sua existência. A ICN preservou dados graças a sistemas de backup, mas esse resultado não pode ser dado como certo. As equipes precisam ensaiar restaurações a partir de backups imutáveis, validar tempos de recuperação e verificar se o backup está isolado da mesma identidade comprometida. Em portos e transporte, os RTOs reais costumam ser mais longos do que o plano promete.

Quarto, ampliar o monitoramento de terceiros e do ecossistema de integração. O sistema de Córdoba mostrou contas administrativas, câmeras, recargas, documentos e funções remotas. Isso significa que um fornecedor mal segmentado pode abrir uma superfície enorme. A revisão deve incluir inventário de integrações, MFA para admins, rotação de credenciais, registros centralizados e uma política de privilégio mínimo que alcance subcontratados.

Quinto, preparar modelos de notificação e resposta pública antes do incidente. Oldelval, LATAM e a prefeitura de Córdoba acabaram respondendo sob pressão da imprensa, da CNV, da ANPD ou do CERT. Convém ter textos, fluxos e responsáveis definidos com antecedência. Em logística e transporte, a demora para informar costuma ampliar o dano reputacional mais do que a intrusão inicial.

Sexto, reforçar a detecção de abuso em portais e serviços periféricos. Os aeroportos argentinos ficaram expostos em parking e reservas, não no controle de voo. Esse tipo de superfície merece revisão de sessões, credenciais, captchas adaptativos, segregação de bases e controles de integridade. Quando o dado pessoal é o objetivo, o atacante nem sempre toca o sistema mais visível.

Perguntas frequentes

O que mudou em relação a julho no eixo de transporte e logística?

Agosto mostrou uma alta forte frente a julho, com mais fatos verificados, mais incidentes sem tipificação, mais setores afetados e 10 movimentos regulatórios documentados. No mês anterior, o eixo predominante eram vulnerabilidades; em agosto, dominaram incidentes reais, brechas e resposta formal, sobretudo na Argentina e no Brasil.

Qual caso teve maior impacto operacional confirmado?

O caso com impacto mais claro sobre a continuidade foi o da North Carolina Ports, usado aqui como comparação operacional porque obrigou a operar em modo manual. Na América Latina, a Oldelval manteve o transporte de petróleo sem interrupção, enquanto a ICN teve criptografia confirmada em TI. A gravidade operacional variou mais pelo tipo de sistema afetado do que pelo nome do ator.

Quais incidentes expuseram dados pessoais de viajantes ou clientes?

LATAM Pass e o ataque a três aeroportos argentinos concentraram a exposição de dados pessoais. Na LATAM, apareceram nomes, datas de nascimento, e-mails, telefones, endereços e dados do programa de fidelidade. Nos aeroportos, foram comprometidos e-mails, telefones, placas e códigos postais vinculados a um serviço de estacionamento e reservas.

Houve ransomware com criptografia confirmada no vertical regional?

Sim, o único caso com criptografia confirmada no material foi o da ICN, no Brasil. A Oldelval teve reivindicações e menção em leak site, mas a empresa informou que o incidente ficou restrito a sistemas administrativos e sem interrupção do transporte. O restante dos casos de extorsão não permitiu determinar com precisão o mecanismo com a evidência disponível.

O que as equipes de segurança do setor devem priorizar?

Devem priorizar segmentação entre operação e serviços satélite, proteção de dados pessoais, restauração testada de backups, monitoramento de terceiros e preparo para notificação regulatória. Os casos do mês mostram que o dano entra por e-mail, fidelidade, estacionamento, reservas, logística documental e sistemas administrativos, antes da operação física principal.

Limitações do material

Este relatório foi construído exclusivamente com os fatos fornecidos para agosto de 2026, mais três fatos de meses anteriores usados apenas como referência comparativa e sempre com o mês explicitado. Não foi usada internet nem qualquer outra fonte fora da lista de material permitido. Também não foi incorporada telemetria agregada, porque o material não a incluiu.

Um indicador em zero, em particular o de CVEs críticos, significa que eles não foram registrados no material analisado, não que não tenham existido vulnerabilidades críticas na região. O mesmo vale para qualquer categoria ausente. A janela temporal dos indicadores é a declarada no início do documento, 67 fatos com data em agosto de 2026 e 3 de meses anteriores apenas como referência comparativa, não como volume do mês.

Foram excluídas como evidência as redes sociais de consumo e o conteúdo patrocinado ou press releases, e não foi citada nenhuma fonte que não estivesse na lista de fontes disponíveis. Os fatos sem data confirmada não foram usados porque não fazem parte dos indicadores. Quando o material não permitiu distinguir entre criptografia, exfiltração ou mera menção em leak site, essa ambiguidade foi mantida no texto em vez de inventar uma tipificação.

Anexo técnico: indicadores de compromisso e TTPs

Não houve IoCs verificáveis publicados no material permitido para este relatório. Também não foram documentados hashes, domínios, IPs ou listas de TTPs com nível suficiente de detalhe e fonte citável dentro do corpus analisado. Por esse motivo, esta seção foi omitida sem adicionar conteúdo especulativo.

Perguntas frequentes

Qual a diferença entre um incidente administrativo e uma queda operacional total?

Um incidente administrativo afeta e-mail, dados, portais ou repositórios de suporte, enquanto uma queda operacional total interrompe a função física principal. Oldelval e LATAM mostraram impactos administrativos ou de dados, e o North Carolina Ports serviu como referência de operação degradada sem que isso implicasse necessariamente uma interrupção total do serviço principal.

Que peso a regulação teve em agosto?

Foi uma das marcas mais visíveis do mês. Oldelval divulgou seu incidente por uma obrigação de mercado de capitais na Argentina, a LATAM notificou a ANPD no Brasil e a prefeitura de Córdoba abriu uma auditoria interna. A regulação não eliminou o incidente, mas levou mais transparência e rastreabilidade pública.

Quais subsegmentos do vertical ficaram mais expostos?

Os mais expostos foram transporte urbano, aeroportos, logística terceirizada, portos e energia de transporte. Córdoba mostrou possível controle sobre ativos móveis, os aeroportos argentinos e o LATAM Pass expuseram dados pessoais, e Oldelval e ICN combinaram continuidade crítica com impacto em TI. A superfície mais sensível foi a de sistemas satélite e administração.

Por que o material diz que o mês foi de risco alto?

Porque houve 67 fatos verificados, 27 incidentes sem tipificação, 15 casos de ransomware ou extorsão como eixo primário, 10 movimentos regulatórios e 7 setores com pelo menos um fato documentado. Além disso, o impacto incluiu aeroportos, transporte urbano, oleodutos, logística e portos, com efeitos que atingiram tanto dados quanto operação.

Países e subsegmentos mais afetados

Chile e companhias aéreas

O único fato ligado a uma empresa com alcance regional amplo foi o LATAM Pass, que afetou a LATAM Airlines Group e expôs dados de membros do programa de fidelidade. Em termos setoriais, o subsegmento mais sensível foi o de fidelidade aérea, porque reúne identidade, histórico de viagem e valor econômico acumulado em pontos ou milhas.

Transporte urbano e mobilidade

Córdoba mostrou que a mobilidade urbana pode ficar exposta por integrações tecnológicas mal segmentadas. O sistema analisado por Ignacio Navarro incluía ônibus, táxis, câmeras, recargas e documentos de identidade. Isso obriga a olhar para o transporte urbano como uma plataforma tecnológica complexa, e não apenas como uma frota de veículos.

Portos e logística de carga

Os portos e a logística de carga foram representados por North Carolina Ports, Uber Freight e as reclamações sobre Integraduanas e Flecha Bus. O padrão comum é o valor do e-mail, dos documentos de despacho, do TOS e dos processos de gate. A disrupção não precisa atingir guindastes para afetar prazos, coordenação e custos.

Recomendações para equipes de segurança

Sobre dados de clientes e fidelização

Separe as bases de fidelização, identidade e pagamentos, revise os acessos a saldos e pontos, e habilite alertas para mudanças de e-mail, telefone ou recuperação de senha. Quando um breach atinge nomes, datas de nascimento e detalhes do programa, o risco de fraude posterior sobe rápido. A resposta precisa incluir comunicação clara ao usuário.

Sobre portos e terminais

Isole TOS, OCR, EDI, sistemas de gate e acessos de terceiros, e teste a operação manual sem depender do mesmo ambiente de identidade. Os incidentes de North Carolina Ports mostram que a continuidade manual pode ser mantida, mas com atrasos. Em portos latino-americanos, esse atraso pode ser o primeiro sinal visível de um comprometimento maior.

Sobre reportes e governança

Defina com antecedência quem notifica a CNV, ANPD, CERT ou autoridades setoriais, e quais limiares acionam cada canal. Agosto deixou claro que a transparência pode chegar por vias distintas. Se a organização espera improvisar essa parte durante o incidente, o dano reputacional se amplia.

Gráficos